Следваща стъпка компания Google е обявила намерението си да проведе експеримент за тестване на внедряването на „DNS върху HTTPS“ (DoH, DNS over HTTPS) за браузера Chrome. В изданието на Chrome 78, насрочено за 22 октомври, определени категории потребители ще имат по подразбиране включено използване на DoH. В експеримента за активиране на DoH ще участват само потребители, при които в текущите системни настройки са посочени определени DNS провайдери, признати за съвместими с DoH.
В белия списък на DNS провайдърите са включени Google (8.8.8.8, 8.8.4.4), Cloudflare (1.1.1.1, 1.0.0.1), OpenDNS (208.67.222.222, 208.67.220.220), Quad9 (9.9.9.9, 149.112.112.112), Cleanbrowsing (185.228.168.168, 185.228.169.168) и DNS.SB (185.222.222.222, 185.184.222.222). Ако в настройките на DNS на потребителя е посочен един от гореизброените DNS сървъри, DoH в Chrome ще бъде активиран по подразбиране. За тези, които използват предоставените от местния интернет доставчик DNS сървъри, всичко ще остане непроменено и за DNS запитванията ще продължи да се използва системният резолвер.
Важно отличие от внедряването на DoH във Firefox, където поетапното включване на DoH по подразбиране вече в края на септември, е липсата на обвързване с един единствен DoH сервис. Докато във Firefox по подразбиране DNS сървърът е CloudFlare, то в Chrome просто ще се актуализира методът на работа с DNS на еквивалентна услуга, без смяна на DNS провайдера. Например, ако потребителят в системните настройки е посочил DNS 8.8.8.8, то в Chrome ще бъде DoH услугата на Google ("https://dns.google.com/dns-query"), ако DNS е 1.1.1.1, то DoH услугата е на Cloudflare ("https://cloudflare-dns.com/dns-query") и
При желание потребителят може да включи или изключи DoH чрез настройката "chrome://flags/#dns-over-https". Поддържат се три режима на работа: "secure", "automatic" и "off". В режим "secure" хостовете се определят само на основата на предварително кеширани безопасни стойности (получени чрез защитено свързване) и запитвания през DoH, връщане към обикновен DNS не се прилага. В режим "automatic", ако DoH и защитеният кеш не са налични, е разрешено получаването на данни от небезопасен кеш и комуникация през традиционния DNS. В режим "off" първо се проверява общият кеш и, ако няма данни, запитването се изпраща през системния DNS. Режимът се задава чрез kDnsOverHttpsMode, а шаблонът за съвпадение на сървъри чрез kDnsOverHttpsTemplates.
Експериментът за включване на DoH ще бъде проведен на всички поддържани платформи в Chrome, с изключение на Linux и iOS заради сложността на разчитането на настройките на резолвера и ограничения достъп до системните настройки на DNS. В случай че след включване на DoH възникнат проблеми с изпращането на заявки до DoH сървъра (например, поради блокировка, нарушена мрежова свързаност или отказ), браузърът автоматично ще се върне към системните настройки на DNS.
Целта на експеримента е финалната проверка на реализацията на DoH и проучване влиянието на приложението на DoH върху производителността. Следва да се отбележи, че всъщност поддръжката на DoH е в кодовата база на Chrome от февруари, но за настройка и включване на DoH стартиране на Chrome със специален флаг и неочевиден набор от опции.
Напомняме, че DoH може да бъде полезен за предотвратяване на изтичане на информация за запитванията за хост имена през DNS сървърите на доставчика, справяне с MITM атаки и подмяна на DNS трафика (например при свързване с публични Wi-Fi мрежи), за противодействие на блокировки на ниво DNS (DoH не може да замени VPN в контекста на избягване на блокировки, реализирани на ниво DPI) или за организиране на работа при невъзможност за директно свързване с DNS сървърите (например при работа през прокси). Ако в обикновена ситуация DNS запитванията се изпращат директно до определените в конфигурацията на системата DNS сървъри, то при DoH запитването за определяне на IP адреса на хост остава инкапсулирано в HTTPS трафик и се изпраща до HTTP сървър, на който резолверът обработва запитванията чрез Web API. Съществуващият стандарт DNSSEC използва криптиране само за удостоверяване на клиента и сървъра, но не защитава трафика от прихващане и не гарантира конфиденциалността на запитванията.
Източник: opennet.ru
